☰

iptables udp 端口​​已转发，但 ICMP UDP 端口无法访问

tag-icon • tag-icon iptables port-forwarding udp
iptables udp 端口​​已转发，但 ICMP UDP 端口无法访问

我希望在端口 10666 UDP 上托管一个游戏服务器（Zandronum Doom），但没有人可以连接到它。我已经解决了这个问题，我认为是我的路由出了问题。我的物理网络架构如下：

[WAN] - [Router] - [Switch] - [Pi]
                            - [Desktop]
                            - [Other]

我的路线如下

[WAN] - [(pub. ip) Router (192.168.1.1)] - [Pi (192.168.1.5)] - [Desktop (192.168.1.11)]
                                                    - [Other (tv, printer, laptop, phone, etc)]

我的路由器设置为将我想要的任何内容转发到 Raspberry Pi，并且只转发到那里。Raspberry Pi 设置为 IDS/IPS，还充当整个网络的 DNS 服务器和 DHCP 服务器。我希望所有流量都通过那里。Raspberry Pi 通过 dhcp 设置为默认网关，Raspberry Pi 本身将路由器设置为默认网关。

路由器设置为将端口 10666 上的 tcp 和 udp 流量转发到 pi。这是给我带来麻烦的流量。rasperry pi 在 iptable 中有以下相关规则：

$> sudo iptables --list -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination
DNAT       tcp  --  fritz.box            pi.lan               tcp dpt:10666 to:192.168.1.11
DNAT       udp  --  fritz.box            pi.lan               udp dpt:10666 to:192.168.1.11

Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination
MASQUERADE  all  --  anywhere             anywhere

$> sudo iptables --list
Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
QUEUE      all  --  anywhere             anywhere

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

我不确定为什么其中一些名称已解析而其他的却没有。

我无法通过公共 IP 连接到服务器。TCP Dump 显示以下内容：

$> sudo tcpdump -i eth0 | grep 10666
[...]
21:34:57.456103 IP paul-pc.lan.10667 > <pub-ip>.10666: UDP, length 50
21:34:57.457635 IP pi.lan.10667 > <pub-ip>.10666: UDP, length 50
21:34:57.458130 IP <pub-ip>.10667 > pi.lan.10666: UDP, length 50
21:34:57.458279 IP pi.lan > <pub-ip>: ICMP pi.lan udp port 10666 unreachable, length 86
21:34:57.458451 IP <pub-ip> > pi.lan: ICMP <pub-ip> udp port 10666 unreachable, length 86
21:34:57.458711 IP <pub-ip> > paul-pc.lan: ICMP <pub-ip> udp port 10666 unreachable, length 86
[repeating]
[...]

为了测试，我更改了服务器的网络设置，绕过 pi 和路由器，直接将端口转发到桌面。然后它就完美地运行了。

答案1

该选项-s 192.168.1.1是错误的。源是从路由器传递过来的，而不是重新打包的（路由器不是源）。请使用目标过滤器-d 192.168.1.5

相关内容